DPA — عقد معالجة البيانات الشخصية

2026-05-17 · v1.0 / maj 2026

إشعار مهم: يُمثّل عقد معالجة البيانات الشخصية هذا (فيما يلي: DPA) ملحقًا قانونيًا ملزمًا للعقد الرئيسي (الشروط العامة للتعامل أو العقد التجاري المحدد) المبرم بين العميل (المتحكم) ومزوّد الخدمة Findes Group (المعالج). تضمن هذه الوثيقة الامتثال الكامل لـ Uredba (EU) 2016/679 (GDPR)، وقانون حماية البيانات الشخصية (ZVOP-2)، وقانون الذكاء الاصطناعي الأوروبي Uredba (EU) 2024/1689. باستخدام خدماتنا في مجال تكنولوجيا المعلومات أو التسويق أو SaaS، يقبل العميل تلقائيًا هذا DPA.

يحمل المصطلحات التالية في هذا DPA معنىً قانونيًا محددًا:

المتحكم (العميل): الشريك التجاري من الفئة B2B (وكالة، أو مطوّر، أو امتياز تجاري، أو شركة) الذي يطلب خدمات من Findes Group ويحدد باستقلالية أغراض معالجة البيانات الشخصية لعملائه أو موظفيه ووسائلها.
المعالج (Findes Group): بحسب طبيعة الخدمة، تتولى هذه الدور إما Investra International Ltd (فيما يخص منصة تكنولوجيا المعلومات، وSaaS، وCRM، وبنية تحتية Marketplace) أو Findes Marketing d.o.o. (فيما يخص خدمات التسويق وعمليات الامتياز الرئيسي في سلوفينيا).
المعالج الفرعي (Sub-processor): طرف ثالث يُفوِّضه المعالج لأداء مهام معالجة محددة (مثل AWS للاستضافة، وOpenAI للذكاء الاصطناعي).
العقد الرئيسي: أي عقد تعاون أو اتفاقية مستوى الخدمة (SLA) أو شروط عامة تُمكّن المعالجَ من تقديم الخدمات للمتحكم.
البيانات الشخصية: أي معلومة تتعلق بشخص طبيعي محدد أو قابل للتحديد (صاحب البيانات)، يعالجها المعالج نيابةً عن المتحكم.

Pravna narava

عندما تعمل منصة Findes بوصفها سوقًا إلكترونيًا (Marketplace) للمستخدمين النهائيين (B2C)، قد تعمل Findes بوصفها متحكمًا مشتركًا (Joint Controller). غير أن هذا DPA ينظم صراحةً الحالات التي تقدم فيها Findes بنية تحتية لتكنولوجيا المعلومات/SaaS/التسويق لشركاء B2B، وتعمل بشكل حصري بوصفها معالجًا.

يعالج المعالج البيانات الشخصية حصرًا لغرض تنفيذ الخدمات المحددة في العقد الرئيسي. يشمل موضوع المعالجة المعاملات التالية:

2.1 Kategorije posameznikov

عملاء المتحكم والعملاء المحتملون (Leads).
موظفو المتحكم ووكلاؤه والمتعاونون الخارجيون معه (مستخدمو منصة SaaS).
شركاء المتحكم التجاريون والموردون.

2.2 Vrste osebnih podatkov

Vrsta podatkov	Primeri	Namen obdelave
البيانات التعريفية	الاسم الأول والاسم الأخير واسم المستخدم والرقم الضريبي	Vzpostavitev profilov, CRM upravljanje
Kontaktni podatki	البريد الإلكتروني ورقم الهاتف والعنوان	التواصل وإرسال العروض والأتمتة
البيانات المالية	Podatki o transakcijah, IBAN (delno)	معالجة المدفوعات ونماذج العمولة (Affiliate)
البيانات الرقمية وتكنولوجيا المعلومات	عنوان IP وملفات السجل وملفات تعريف الارتباط والموقع الجغرافي	أمن النظام والتحليلات ومسارات المراجعة
Vsebina komunikacije	سجلات المحادثات ورسائل البريد الإلكتروني	دعم العملاء والتحليلات بالذكاء الاصطناعي (إن كانت مفعّلة)

2.3 Narava obdelave

تشمل المعالجة جمع البيانات وتسجيلها وتنظيمها وهيكلتها وتخزينها وتكييفها والبحث فيها والاطلاع عليها واستخدامها ونقلها (داخل المنصة) وتقييدها وحذفها وإتلافها باستخدام أنظمة تكنولوجيا المعلومات والذكاء الاصطناعي الآلية.

يتعهد المعالج بالامتثال الصارم للالتزامات التالية عند معالجة البيانات الشخصية:

التعليمات الموثقة: لا تتم معالجة البيانات الشخصية إلا بناءً على تعليمات موثقة صادرة عن المتحكم (بما في ذلك استخدام وظائف منصة SaaS). إذا رأى المعالج أن تعليمةً ما تنتهك GDPR، فإنه يُخطر المتحكم بذلك فورًا.
السرية: يضمن أن الأشخاص المصرّح لهم بالمعالجة (الموظفون والمتعاونون الخارجيون) ملتزمون بواجب قانوني صارم بالسرية.
مساندة المتحكم: مراعاةً لطبيعة المعالجة والمعلومات المتاحة، يقدم المعالج للمتحكم المساعدة اللازمة للوفاء بالتزاماته المتعلقة بالأمن والإخطار بالانتهاكات وإجراء تقييمات أثر حماية البيانات (DPIA).
قيود الاستخدام: لا تُستخدم بيانات المتحكم الشخصية لأغراض تسويقية خاصة بالمعالج، أو لبيعها لأطراف ثالثة، أو لتحقيق الدخل منها بأي شكل.

يتحمل المتحكم بوصفه مالك البيانات المسؤولية الأساسية عن مشروعية المعالجة. يتعهد المتحكم بأن:

لديه أساس قانوني ساري (كالموافقة أو العقد أو المصلحة المشروعة) لجمع البيانات الشخصية ونقلها إلى المعالج.
قد زوّد الأفراد في الوقت المناسب بجميع المعلومات الضرورية (سياسة الخصوصية) وفقًا للمادتين 13 و14 من GDPR.
لن يُدخل في أنظمة المعالج فئات خاصة من البيانات الشخصية (بيانات صحية أو بيومترية أو ذات طابع سياسي)، إلا إذا تم الاتفاق على ذلك كتابيًا صراحةً وتأمينه بتدابير تنظيمية وتقنية إضافية (TOMs).
سيحافظ على أمان كلمات مروره (باستخدام 2FA/MFA) ومفاتيح API للوصول إلى منصة Findes.

يطبّق المعالج أعلى المعايير الصناعية لحماية البيانات. تشمل التدابير التنظيمية والتقنية القياسية (TOMs):

5.1 التدابير التقنية

التشفير: تُشفَّر جميع البيانات أثناء النقل (TLS 1.3 / HTTPS) وفي حالة الراحة (تشفير قواعد البيانات بمعيار AES-256).
التحكم في الوصول: يُطبَّق نظام صارم للأدوار والصلاحيات (RBAC). يقتصر الوصول إلى قواعد البيانات الإنتاجية على المهندسين الكبار المصرّح لهم عبر اتصالات VPN آمنة وMFA.
النسخ الاحتياطية (Backups): نسخ احتياطية يومية آلية مخزّنة في مواقع جغرافية منفصلة، مع التحقق من سلامة عملية الاستعادة.
مراقبة الشبكة: استخدام جدار حماية تطبيقات الويب (WAF) وحماية DDoS وأنظمة كشف التسلل (IDS/IPS).

5.2 Organizacijski ukrepi

سياسات كلمات المرور: إلزامية استخدام كلمات مرور قوية والمصادقة متعددة العوامل (MFA) لجميع موظفي المعالج.
التدريب: دورات تدريبية سنوية منتظمة للموظفين حول أمن المعلومات والامتثال لـ GDPR.
سياسة المكتب النظيف (Clean Desk Policy): سياسة نظافة المكتب وقفل الشاشات في المساحات المادية للشركة.
إدارة الحوادث: إجراء موثق للاستجابة السريعة للحوادث الأمنية.

يمنح المتحكم تفويضًا كتابيًا عامًا للمعالج لاستئجار معالجين فرعيين. يستعين المعالج حاليًا بالمعالجين الفرعيين الرئيسيين التاليين:

Podobdelovalec	Storitev / Namen	Lokacija podatkov
Amazon Web Services (AWS)	البنية التحتية السحابية وقواعد البيانات وتخزين الملفات	EU (Frankfurt / Irska)
Cloudflare / Netlify	CDN وWAF واستضافة الملفات الثابتة	Globalno (Edge), primarno EU
SendGrid / Mailgun	البنية التحتية لإرسال رسائل البريد الإلكتروني التحويلية والتسويقية	EU / ZDA (DPF certifikat)
OpenAI, L.L.C.	معالجة النصوص بالذكاء الاصطناعي والتحليلات (Zero-Data Retention لـ API)	ZDA (DPF certifikat)
Stripe / PayPal	معالجة المدفوعات والاشتراكات	EU / ZDA (DPF certifikat)

6.1 Sprememba Podobdelovalcev

يُخطر المعالج المتحكمَ بأي تغيير مقصود أو إضافة معالجين فرعيين جدد (عادةً عبر إشعار في لوحة التحكم أو بالبريد الإلكتروني) قبل 14 يومًا على الأقل من تطبيق التغيير. يحق للمتحكم الاعتراض لأسباب موجّهة مرتبطة بحماية البيانات. وإذا تعذّر حل النزاع، يحق للمتحكم الانسحاب من العقد الرئيسي.

6.2 المسؤولية عن المعالجين الفرعيين

يبرم المعالج مع كل معالج فرعي عقدًا ملزمًا (DPA) يُلزم المعالجَ الفرعي بالتزامات حماية بيانات مماثلة أو أكثر صرامةً مما هو منصوص عليه في هذا DPA. يظل المعالج مسؤولًا بالكامل أمام المتحكم عن وفاء المعالجين الفرعيين بالتزاماتهم.

يقع الموقع الأساسي لمعالجة البيانات وتخزينها داخل المنطقة الاقتصادية الأوروبية (EEA). إذا استلزمت الخدمة نقل البيانات خارج المنطقة الاقتصادية الأوروبية (مثل مزودي خدمات في الولايات المتحدة)، يضمن المعالج إجراء النقل حصرًا بموجب أحد الأسس القانونية التالية:

قرار مدى الملاءمة: النقل إلى دول تثبت المفوضية الأوروبية توفيرها مستوى كافيًا من الحماية (بما في ذلك EU-US Data Privacy Framework للشركات المعتمدة في الولايات المتحدة).
البنود التعاقدية القياسية (SCCs): إبرام أحدث SCCs المعتمدة من المفوضية الأوروبية، مع تدابير تقنية إضافية (تقييم أثر النقل - TIA) متى لزم ذلك.

في حال وقوع انتهاك مؤكد لأمن البيانات الشخصية التي يعالجها المعالج (كالوصول غير المصرّح به أو فقدانها أو إتلافها أو الكشف عنها)، يلتزم المعالج بما يلي:

إخطار المتحكم كتابيًا دون تأخير غير مبرر، وفي كل الأحوال في غضون 48 ساعة من علمه بالانتهاك (على عنوان البريد الإلكتروني لمسؤول المتحكم أو DPO).
تضمين الإخطار: طبيعة الانتهاك، وفئات الأفراد المعنيين وعددهم التقريبي، والعواقب المحتملة للانتهاك، والتدابير المتخذة أو المزمع اتخاذها للحد من الضرر.
تقديم كل المساعدة المعقولة للمتحكم للوفاء بالتزامه بإخطار الجهة الرقابية (كـ Informacijski pooblaščenec) والأفراد المتضررين ضمن المهلة المنصوص عليها في GDPR وهي 72 ساعة.

Opozorilo

لن يقوم المعالج باستقلالية بإخطار الجهات الرقابية أو الأفراد بالانتهاك، إلا إذا أوجب ذلك القانون صراحةً أو طلب ذلك المتحكم كتابيًا.

إذا وجّه فرد (مثل عميل المتحكم) طلبًا لممارسة حقوقه (الوصول أو التصحيح أو الحذف/النسيان أو التقييد أو قابلية النقل) مباشرةً إلى المعالج، فإن هذا الأخير سيقوم بما يلي:

إحالة الطلب فورًا إلى المتحكم والامتناع عن الرد عليه باستقلالية.
توفير أدوات ضمن وظائف منصة تكنولوجيا المعلومات تُمكّن المتحكم من تنفيذ الطلب باستقلالية (مثل زر حذف الملف الشخصي وتصدير البيانات بصيغة JSON/CSV).
إذا كانت الأدوات المتاحة غير كافية، سيقدم المعالج المساعدة التقنية اللازمة لتنفيذ الطلب بناءً على طلب كتابي من المتحكم. يجوز تحصيل رسوم مقابل العمل اليدوي المكثف وفق قائمة أسعار خدمات تكنولوجيا المعلومات السارية.

نظرًا لأن Findes Group تدمج وظائف الذكاء الاصطناعي في منصاتها (كأتمتة الدعم وتحليل المستندات)، تسري القواعد الصارمة التالية وفقًا للائحة الذكاء الاصطناعي (EU AI Act):

عدم الاحتفاظ بالبيانات لتدريب الذكاء الاصطناعي (Zero-Data Retention): لا تُستخدم البيانات الشخصية للمتحكم أبدًا في تدريب (fine-tuning) النماذج العامة أو النماذج الأساسية (Foundation Models) التابعة للمعالج أو معالجيه الفرعيين من مزودي الذكاء الاصطناعي (مثل OpenAI). تُهيَّأ استدعاءات API لمزودي الذكاء الاصطناعي بحيث لا تُخزَّن البيانات ولا تُستخدم في التدريب.
الشفافية: عندما يتواصل نظام الذكاء الاصطناعي مباشرةً مع عملاء المتحكم النهائيين (مثل روبوت الدردشة بالذكاء الاصطناعي)، يجب إخطار العميل بوضوح بأنه يتواصل مع آلة.
حظر الأنظمة عالية الخطورة: لا ينفّذ المعالج نيابةً عن المتحكم أي عمليات ذكاء اصطناعي تندرج ضمن فئة "المخاطر غير المقبولة" (كالتسجيل الاجتماعي) أو "المخاطر العالية" (كالتوظيف الآلي أو التعرف البيومتري عن بُعد)، إلا إذا أُبرم ملحق خاص مشتمل على تقييم مناسب للمخاطر (تقييم أثر الحقوق الأساسية - Fundamental Rights Impact Assessment).

يحق للمتحكم التحقق من امتثال المعالج لهذا DPA ولـ GDPR. تُجرى عملية التدقيق وفق الشروط التالية:

يطلب المتحكم أولًا وثائق المعالج وشهاداته (كتقارير ISO 27001 وSOC 2 وبيانات الأمان). إذا أثبتت هذه الوثائق الامتثالَ، فلا حاجة لإجراء تدقيق مادي إضافي.
إذا كانت الوثائق غير كافية أو في حالة وقوع حادث أمني جسيم، يجوز للمتحكم (أو مدقق خارجي مستقل ليس منافسًا للمعالج) إجراء تدقيق بإشعار مسبق لا يقل عن 30 يومًا.
يُجرى التدقيق خلال أوقات العمل الرسمية بأسلوب يُقلل إلى أدنى حد من تعطيل أعمال المعالج. يتحمل المتحكم تكاليف التدقيق، إلا إذا كشف التدقيق عن انتهاكات جسيمة من جانب المعالج.

بعد انقضاء العقد الرئيسي أو بناءً على طلب صريح من المتحكم، يلتزم المعالج بما يلي:

تمكين المتحكم من تصدير جميع البيانات الشخصية بصيغة قياسية قابلة للقراءة آليًا (مثل CSV أو JSON) في غضون 30 يومًا من انتهاء العقد.
بعد انقضاء فترة الانتقال البالغة 30 يومًا، حذف جميع البيانات الشخصية للمتحكم بشكل آمن ونهائي من جميع أنظمة الإنتاج.
ستُستبدَل البيانات الموجودة في النسخ الاحتياطية وتُتلَف تلقائيًا وفق دورة التناوب المنتظمة للنسخ الاحتياطية (عادةً 90 يومًا)، مع بقائها مشفرة بالكامل وغير قابلة للمعالجة خلال هذه المدة.

تُستثنى من الحذف البيانات التي يلتزم المعالج بحفظها بموجب التزامات قانونية (مثل التشريعات الضريبية والمحاسبية)، غير أن هذه البيانات تُحفظ لهذا الغرض حصرًا.

تُقيَّم مسؤولية الطرفين عن الأضرار التي تلحق بالأفراد جراء انتهاك GDPR وفقًا للمادة 82 من GDPR. وفيما يخص العلاقة المتبادلة بين الطرفين (B2B)، تسري القواعد التالية:

لا يكون المعالج مسؤولًا عن الضرر إلا إذا أخل بالالتزامات المفروضة بموجب GDPR صراحةً على المعالجين، أو تصرّف خارج نطاق تعليمات المتحكم المشروعة أو في تعارض معها.
إجمالي المسؤولية التعويضية للمعالج (بما في ذلك غرامات الجهات الرقابية) الناشئة عن هذا DPA محدود صراحةً بالمبلغ المنصوص عليه في العقد الرئيسي بوصفه الحد الأقصى للمسؤولية (Liability Cap). وإذا لم يُحدَّد ذلك، تُحدَّد المسؤولية بمبلغ الرسوم التي دفعها المتحكم للمعالج خلال 12 شهرًا قبل الحدث المسبّب للضرر.
لا يكون أي من الطرفين مسؤولًا عن الأضرار غير المباشرة أو خسارة الأرباح أو فقدان البيانات (إذا أهمل المتحكم الاحتفاظ بنسخه الاحتياطية الخاصة) أو الإضرار بالسمعة.

يسري هذا DPA اعتبارًا من تاريخ نفاذ العقد الرئيسي (أو من تاريخ قبول الشروط العامة)، ويظل ساريًا طالما يحتفظ المعالج بأي بيانات شخصية أو يعالجها نيابةً عن المتحكم.

في حال التعارض بين أحكام هذا DPA وأحكام العقد الرئيسي، تسود أحكام هذا DPA بقدر ما تتعلق بحماية البيانات الشخصية والامتثال لـ GDPR.

يخضع هذا DPA للقانون المحدد في العقد الرئيسي. وإذا لم يُحدَّد ذلك، يُطبَّق قانون جمهورية سلوفينيا (فيما يخص Findes Marketing d.o.o.) أو قانون إنجلترا وويلز (فيما يخص Investra International Ltd). تُحسَم جميع النزاعات الناشئة عن هذا DPA أمام المحكمة المختصة المحددة في العقد الرئيسي.

يحتفظ المعالج بالحق في تعديل هذه الاتفاقية من جانب واحد إذا اقتضت ذلك التغييرات التشريعية (مثل المبادئ التوجيهية الجديدة الصادرة عن EDPB، أو تحديثات قانون الذكاء الاصطناعي الأوروبي). وسيُخطَر المتحكم بأي تعديلات جوهرية قبل ثلاثين (30) يومًا على الأقل من تاريخ نفاذها.

Findes Marketing d.o.o.

Master Franchise & Marketing
Matična št.: 8674639000
Litostrojska cesta 44A, 1000 Ljubljana, SI
info@findes.si

Investra International Ltd

Marketplace & IT Platforma
Company No. 16626956
128 City Road, London EC1V 2NX, UK
legal@findes.si